Приветствую!

Disclaimer.

В ОС семейства Linux я профан, так же как и в компьютерных сетях.

Пост рассчитан на людей с прямыми руками, умеющими пользоваться поисковыми системами (гуглить).

ТЗ, или мои хотелки:

1. Реализовать балансировку нагрузки, и отказоустойчивость, между двумя провайдерами (ISP). Каждый провайдер предоставляет безлимитное подключение 100 мегабит по витой паре.

2. Настроить по несколько туннелей IPv6 to IPv4 (6in4) от туннельных брокеров, на каждом провайдере. Реализовать балансировку нагрузки между туннелями.

3. Настроить несколько OpenVPN клиентов, на каждом провайдере, для конкретных адресов (заблокированных сайтов). Настроить балансировку нагрузки между OpenVPN клиентами.

4. Настроить блокировку рекламы (AdBlock) на уровне DNS сервера.

5. Реализация должна быть дешевой и простой. Не имеет значения на чем все будет реализовано.

Для реализации задумки взяты за основу три маршрутизатора Netgear R6300v2, на которые должна устанавливаться ОС OpenWRT. Просто лишь потому что они удачно подвернулись на вторичном рынке.

На сайте проекта OpenWRT заявлена почти полная поддержка этих маршрутизаторов. Единственное, что вообще не будет работать это Wi-Fi 802.11ac (5 ГГц). Wi-Fi 802.11b/g/n (2.4 ГГц) можно сказать что тоже не будет работать. Вся проблема в открытых исходниках от Broadcom Inc, которых попросту нет. Что противоречит концепции проекта OpenWrt.

Для меня это не критично, так как для этих стандартов используется маршрутизатор ASUS RT-AC66U B1 под управлением ОС FreshTomato 2020.2.

Для каждого провайдера используется свой R6300v2, на котором реализуются пункты ТЗ 2-4. На третьем — реализуется первый пункт ТЗ. То есть третий маршрутизатор выступает просто балансировщиком нагрузки между первыми двумя маршрутизаторами.

На момент написания этой статьи на маршрутизаторах установлена ОС OpenWrt 19.07.2

Вкратце опишу процесс "накатывания" прошивки OpenWrt.

Для начала нужно скачать файл прошивки "netgear-r6300v2-webflash.bin" с сайта ftp://ftp.dd-wrt.com/betas/ проекта DD-WRT. Потому что напрямую прошить маршрутизатор OpenWrt не удастся.

После прошивки промежуточной прошивки от DD-WRT, прошиваем файл "openwrt-19.07.0-rc2-bcm53xx-netgear-r6300-v2-squashfs.chk", который можно скачать по адресу https://downloads.openwrt.org/releases/19.07.2/targets/bcm53...

Процесс прошивки не сложный, нужно зайти в меню для обновления прошивки, указать файл и загрузить его в маршрутизатор.

Если нужно подробно описать как прошивать маршрутизатор, и в случае чего возвращать его с "того света" при неудачной прошивке, то напишите об этом в комментариях.

Так же, если нужно, опишу процесс разгона (overclocking) маршрутизатора R6300v2. Получив частоту ЦП 1200МГц, вместо штатной 800МГц, памяти 800МГц базовой частоты, вместо 533МГц.

На каждом провайдере у меня раньше, и сейчас тоже, стоят самые дешевые Wi-Fi маршрутизаторы Tenda W316R. Достаточно давно именно через них шла раздача Wi-Fi на несколько смартфонов.

Сейчас же они оставлены по одной простой причине — если что-то прилетит по витой паре, например гроза, то в первую очередь выйдут из строя W316R, при этом R6300v2 должны уцелеть.

Да и пока игрался с R6300v2, W316R были просто незаменимы, так как у меня каждый провайдер выдает IP-адреса через DHCP сервер, с привязкой по MAC-адресу. Благодаря чему я мог оперативно переключать кабель в W316R что бы просто получить доступ к сети, если что-то шло не так с R6300v2.

А таких ситуаций за две недели было немало. Примерно столько времени было потрачено на все пляски. Потому что на тот момент опыта работы с OpenWRT, и линуксом в частности, у меня не было вообще, да и сейчас его нет.

Итак подключаем R6300v2 к интернету, и скачиваем пакеты:

6in4 (для создания IPv6 туннелей)

kmod-ipt-nat6 (нужен для NAT IPv6, при балансировке нагрузки между туннелями)

luci-i18n-ttyd-ru (можно запускать терминал из браузера)

luci-i18n-firewall-ru (русификация ПО установленного по умолчанию в OpenWRT)

luci-i18n-base-ru (русификация ПО установленного по умолчанию в OpenWRT)

luci-i18n-opkg-ru (русификация ПО установленного по умолчанию в OpenWRT)

luci-i18n-mwan3-ru (если используется несколько WAN интерфейсов)

luci-i18n-adblock-ru (блокировщик рекламы)

wget (нужен для адблок, утилита для скачивания списков блокировки)

tcpdump-mini (нужен для адблок, утилита для создания отчетов)

coreutils-sort (нужен для адблок)

gawk (поддержка gnu awk в качестве альтернативы умолчанию для busybox)

luci-i18n-openvpn-ru (OpenVPN клиент)

openvpn-openssl (без этого вообще не работает)

openvpn-easy-rsa (нужен для OpenVPN)

Для маршрутизатора который занят только балансировкой нагрузки между двумя оставшимися, достаточно только таких пакетов:

kmod-ipt-nat6 (нужен для NAT IPv6, при балансировке нагрузки между туннелями)

luci-i18n-ttyd-ru (можно запускать терминал из браузера)

luci-i18n-firewall-ru (русификация ПО установленного по умолчанию в OpenWRT)

luci-i18n-base-ru (русификация ПО установленного по умолчанию в OpenWRT)

luci-i18n-opkg-ru (русификация ПО установленного по умолчанию в OpenWRT)

luci-i18n-mwan3-ru (если используется несколько WAN интерфейсов)

Все что необходимо подтянется автоматом при скачивании перечисленных выше пакетов. Галочку для перезаписи существующих файлов нигде не ставим.

После установки всех пакетов перезагружаем маршрутизатор.

Если нет лишних маршрутизаторов как у меня, и вообще есть проблемы загрузить пакеты через маршрутизатор, то есть один способ. Для этого нужно выкачать содержимое директорий под R6300v2 на сейте OpenWRT, установить простенькую программку HTTP сервера себе на комп, и изменить пути получения пакетов для opkg в маршрутизаторе. Если нужно пишите, создам отдельный подробный пост как это делать. Это особенно полезно если имеется целый парк маршрутизаторов, особенно в изолированной локальной сети.

Теперь можно приступить к созданию необходимой конфигурации. Для этого удобно пользоваться программой WinSCP.exe, можно скачать по этой ссылке: https://winscp.net/eng/download.php

Запускаем программу, выбираем протокол передачи: SCP, в качестве имени хоста вбиваем адрес маршрутизатора, обычно 192.168.1.1, порт: 22, имя пользователя: root. Если вводили пароль, то так же указываем и его, у себя я пароли не использую.

Заходим в папку /etc/config, для редактирования нам понадобятся такие файлы:

/etc/config/network

/etc/config/dhcp

/etc/config/firewall

/etc/config/mwan3

/etc/config/system

/etc/config/adblock

/etc/config/openvpn

Копируем эти файлы в любую папку на компьютере. Для редактирования удобно использовать Notepad++.

Еще потребуется создать файл скрипта /etc/firewall.nat6, атрибуты "firewall.nat6" rw-r--r--. Этот скрипт реализует работу NATv6, позже опишу зачем такое извращение. И создать папку /etc/openvpn/ в которую нужно закинуть файлы конфигурации *.ovpn клиента openvpn. Атрибуты для этой папки должны быть "rwxr-xr-x".

Что-то многовато получилось. Думаю на сегодня хватит.

На очереди статья с описанием и содержимым перечисленных выше файлов конфигураций. И итоги того что получилось.

Если кому-то эта тема интересна, дайте знать стоит ли продолжать? Возможно здесь такое никому не нужно?

Региональный интернет-регистратор RIPE NCC, занимающийся распределением IP-адресов на территории Европы, Средней и Центральной Азии, объявил о распределении последнего доступного блока адресов IPv4. В 2012 году RIPE приступил к распределению последнего /8 блока адресов (около 17 млн. адресов) и сократил максимальный размер выделяемой подсети до /22 (1024 адресов). Вчера был выделен последний блок /22 и свободных адресов IPv4 у RIPE не осталось.

Подсети IPv4 отныне будут выделяться исключительно из пула возвращаемых блоков адресов, который пополняется за счёт закрывшихся организаций, владевших IPv4-адресами, добровольной передачи неиспользуемых блоков или изъятия подсетей после закрытия учётных записей LIR-ов. Адреса из пула возвращаемых блоков будут выдаваться в порядке очереди блоками, не превышающими 256 (/24) адресов. Заявки на помещение в очередь принимаются только от LIR-ов, ранее не получавших IPv4-адреса (сейчас в очереди 11 LIR-ов).

Отмечается, что потребность в IPv4 у операторов исчисляется миллионами адресов. Активное внедрение трансляторов адресов (CG-NAT) и возникший последние годы рынок перепродажи IPv4-адресов, являются лишь временными компромиссами, не решающими глобальной проблемы с нехваткой адресов IPv4. Без широкомасштабного внедрения IPv6 рост глобальной сети может быть ограничен не техническими проблемами или отсутствием инвестиций, а банальной нехваткой уникальных сетевых идентификаторов.

По данным, основанным на статистике запросов к сервисам Google, доля IPv6 приближается к 30%, при том, что год назад этот показатель составлял 21%, а два года назад - 18%. Наиболее высокая степень применения IPv6 отмечается в Бельгии (49.8%), Германии (44%), Греции (43%), Малазии (39%), Индии (38%), Франции (35%), США (35%). В России число пользователей IPv6 оценивается в 4.26%, Украине - 2.13%, Республике Беларусь - 0.03%, Казахстане - 0.02%.

По статистике от компании Cisco, доля маршрутизируемых префиксов IPv6 составляет 33.54%. Число пользователей IPv6 в отчётах Cisco примерно соответствует статистике Google, но дополнительно приводятся сведения о степени внедрения IPv6 в инфраструктуре операторов. В Бельгии доля внедрения IPv6 составляет 63%, Германии - 60%, Греции - 58%, Малазии - 56%, Индии - 52%, Франции - 54%, США - 50%. В России степень внедрения IPv6 находится на уровне 23%, Украине - 19%, Республике Беларусь - 22%, Казахстане - 17%.

Среди наиболее активно применяющих IPv6 сетевых операторов выделяются T-Mobile USA - степень внедрения IPv6 95%, RELIANCE JIO INFOCOMM - 90%, Verizon Wireless - 85%, AT&T Wireless - 78%, Comcast - 71%. Число сайтов из рейтинга Alexa Top 1000, доступных напрямую через IPv6, составляет 23.7%.

1 января 2020 года все провайдеры Беларуси должны будут поддерживать интернет-протокол IPv6 наряду с IPv4. Это прописано в новом дополнении к Указу Президента Республики Беларусь № 60 «О мерах по совершенствованию использования национального сегмента сети Интернет». Аналогов ситуации, когда поддержка протокола последней версии гарантирована на законодательном уровне, пока в мире нет.

IPv6 — новая версия интернет протокола IP, которая приходит на смену пока еще работающему IPv4. Новый протокол призван решить проблемы предыдущей версии — в первую очередь, ограниченность адресного пространства. В IPv4 физически заканчиваются адреса. В нем на одного человека приходится по 0,5 адреса, а в IPv6 — 4,7×1028. Адрес протокола IPv6 состоит из 128 бит, то есть, он в 4 раза длиннее 32-битного IPv4:

Пример IPv4: 192.168.255.255

Пример IPv6: 2001:0DB8:AA10:0001:0000:0000:0000:00FB

Сегодня на долю IPv6 приходится около 25% глобального трафика. В США и Германии — около 50%. Протокол существует более 20 лет, но резкий скачок развития происходит в последние годы в связи с быстрым ростом количества подключенных к интернету устройств и исчерпанием количества свободных адресов старого протокола.

В Беларуси по сути будет законодательно обеспечен dual stack — параллельное использование двух протоколов с постепенным вытеснением устаревшей версии. Это не значит, что IPv4 полностью исчезнет, а провайдеры будут обязаны заменить все клиентское оборудование. Но теперь если вы захотите использовать роутер с поддержкой 6 версии, то технических препятствий для этого не будет.

Проблем с доступностью сайтов и приложений тоже не возникнет. Когда пользователь пытается попасть на ресурс, работающий по IPv6, провайдер будет проверять, поддерживает ли его оборудование новый протокол. Если да, то трафик пойдет по нему, если нет — по традиционному IPv4. Исчезает сама возможность ситуации, при которой интернет-ресурс и конечный пользователь используют более современную версию протокола, которую не поддерживает провайдер.

— Внедрение протокола IPv6 крайне актуально. В этом вопросе у многих стран в регионе наблюдается отставание от остального мира. В Беларуси IPv6 трафик фактически равен нулю, несмотря на то что сами адреса получены практически всеми членами RIPE NCC: в стране 23 из 25 таких организаций уже имеют адреса и могут их использовать. Это самый высокий относительный показатель во всем СНГ, — комментирует ситуацию Максим Буртиков, директор по внешним связям Сетевого координационного центра Европейского регионального реестра IP-адресов (RIPE NCC). Именно эта некоммерческая организация поддерживает интернет-инфраструктуру региона и распределяет IP-адреса между интернет-провайдерами, телекоммуникационными организациями.

— RIPE NCC практически исчерпала запасы IPv4 и рассчитывать на старый протокол при развитии бизнеса не приходится, не говоря уже о 5G и Internet of Things, — продолжает Максим Буртиков. — Крупнейшие ресурсы мира уже давно поддерживают IPv6 (Facebook, Google, YouTube) и в таких странах как США, Германия, Индия через IPv6 уже идет больше 40% всего интернет трафика, а в мобильных сетях эта цифра еще выше. RIPE NCC проводила в Минске несколько тренингов за прошедшие пару лет для технических специалистов операторов, чтобы на практике показать, как обеспечить работу по новому протоколу. Важно, чтобы свой контент, по примеру упомянутых Google, Facebook, сделали доступным по IPv6 и белорусские сайты и приложения. Подготовка к повсеместному внедрению IPv6 необходима, чтобы обеспечить ничем не ограниченное свободное развитие отрасли.

Набор изменений в Указ № 60, который регулирует национальную интернет-сферу, готовился несколько лет и включил целый ряд нововведений, выработанных совместно с техническим и бизнес-сообществом, а также государственными ведомствами. Инициатором выступил Оперативно-аналитический центр при Президенте Республики Беларусь.